Wenn man beginnt das Verzeichnis für Verarbeitungstätigkeiten (VVT) zu erstellen, stellt sich für die meisten bereits bei der ersten Aufgabe, der Definition von Verarbeitungstätigkeiten, die Frage des „Wie“. In diesem Beitrag erklären wir dir einfach verständlich, was eine Verarbeitungstätigkeit ist und wie du herausfindest, welche Verarbeitungstätigkeiten in deinem Unternehmen existieren.
Eine Verarbeitungstätigkeit ist eine in sich abgeschlossene einmalige oder wiederkehrende Aktivität, bei der personenbezogene Daten manuell oder automatisch verarbeitet werden. Die DSGVO setzt voraus, dass ein Unternehmen wissen muss, bei welchen Vorgängen personenbezogene Daten verarbeitet werden. Diese Information und die dazugehörenden Details sind die Grundlage für Informationspflicht (Datenschutzrichtlinie) gegenüber der betroffenen Person. Auch bei Dienstleistungen, wo du personenbezogene Daten für ein anderes Unternehmen verarbeitest, sind diese Verarbeitungstätigkeiten Bestandteil der Auftragsverarbeiter-Vereinbarung.
Zum Start müssen die Prozesse, in denen personenbezogene Daten verarbeitet werden, definiert werden. Gehe dazu am besten deine Geschäftsprozesse und deine Wertschöpfungskette durch und erstelle für jeden in sich abgeschlossenen Bereich, wo personenbezogene Daten verarbeitet werden, einen VVT Eintrag. Wichtig: sehr oft wird der Fehler gemacht, dass Tool-Namen als Einträge für das VVT herhalten, z. B. „Outlook Mails“ oder „Kundendaten in Excel“. Vermeide „Tool zentrierte“ Namen und verwende stattdessen Namen wie „Kundenkommunikation“ oder „Verwaltung von Kundendaten“. Die Tools sind dann ein Baustein im VVT Eintrag. Ein weiterer Tipp: Falls du Dienstleistungen anbietest (z. B. Mitarbeiter Coaching) wäre dieses Dienstleistungsangebot ein eigener VVT Eintrag. Sollte die Dienstleistung pro Kunde individuell stark variieren, ist es sinnvoll, dass du pro Kunden einen eigenen VVT Eintrag erstellst (z.B. „Individuelles Mitarbeiter Coaching Kunde X“).
Alternativ oder als Ergänzung zur oben beschriebener Methode über die Definition der Geschäftsprozesse und der Wertschöpfungskette kannst du auch über den Datenfluss versuchen, relevante Verarbeitungstätigkeiten zu identifizieren. Dabei versuchst du den „Weg“ der Daten im Unternehmen nachzuvollziehen. Wo werden Daten von Kunden und Mitarbeitern erfasst, wo werden sie dann überall benötigt (verarbeitet) und gespeichert und wann werden sie nicht mehr gebraucht. Anhand dieser Übersicht kann man den Datenfluss in abgeschlossene Verarbeitungsschritte und somit Einträge im VVT abbilden und hat gleichzeitig schon Inhalte für die VVT Einträge. Hier ein Beispiel anhand eines Online-Shops, wobei die nummerierten Überschriften die VVT Einträge darstellen:
Kundenregistrierung
Bestellvorgang
Zahlungsabwicklung
Website-Nutzung
E-Mail Marketing
Für den Fall, dass man Mitarbeiter hat, kann man ähnlich vorgehen. Hier können sich dann Verarbeitungstätigkeiten wie Bewerbungsprozess, Mitarbeiter Onboarding, Personalverwaltung, Gehaltsabrechnung, usw. ergeben.
Verarbeitungstätigkeiten eines Verzeichnisses für Verarbeitungstätigkeiten zu definieren kann schwieriger sein, als man denkt. Mit dem richtigen systematischen Vorgehen kann man viele Fehler vermeiden und ein Verzeichnis in guter Qualität aufbauen, welches später bei der Generierung von Datenschutzrichtlinien oder Auftragsverarbeitungs-Vereinbarungen einen großen Mehrwert bringt.
Weitere Beiträge
Zweck und Rechtsgrundlage einer Datenverarbeitung definieren
Wenn du personenbezogene Daten erhebst und verarbeitest, solltest es einen Zweck und eine Rechtsgrundlage dazu geben. Besonders das Bestimmen der Rechtsgrundlage ist für die meisten kein einfaches Unterfangen. In diesem Beitrag erklären wir dir, wie du im Zuge des Verzeichnisses für Verarbeitungstätigkeiten den richtigen Zweck und die richtige Rechtsgrundlage definierst.
Verantwortlicher oder Auftragsverarbeiter? Der Unterschied ganz einfach erklärt!
Der für die Verarbeitung Verantwortliche und der Auftragsverarbeiter, zwei Begriffe, die bei vielen ein Fragezeichen aufwerfen. Im folgenden Blog-Beitrag erklären wir kurz, was der Unterschied ist und erklären dir, wie du selbst einfach bestimmen kannst, welche der beiden Rollen du in welcher Situation einnimmst.
Die wenigsten Unternehmen denken an das Verzeichnis für Verarbeitungstätigkeiten kurz VVT, wenn sie sich mit Datenschutz beschäftigen. Was die wenigsten wissen: Das VVT ist vermutlich die wichtigste Komponente im DSGVO Jungel. Warum das so ist und wie du einfach und verständlich damit starten kannst ein VVT selbst zu erstellen, erklären wir dir im folgenden Blog Beitrag.
Unser Demovideo zeigt dir, wie einfach du dein Unternehmen DSGVO-konform machen kannst.
Metasoul
Branchen
Hilfe & Support
Rechtliches
